自治体ＣＩＯ育成教育

(1)

自治体ＣＩＯ育成教育

情報セキュリティ

教育

(2)

情報セキュリティ

教育

この単元の構成と目的

序

教育実施状況の現状

１ 職員教育の項目とポイント

２ 教育テーマに対する対象の考え方

ここでは、情報セキュリティ教育について考えます。情報セキュリティマネジメントシステムでは、Ｄ（運用）の一部を担うこととなります。情報セキュリティポリシーを策定し、対策を立案されると、実行するのは職員です。教育は、その職員それぞれのセキュリティ意識を高めるため、また、セキュリティ対策の必要性や文書等で説明できない部分に対して直接理解できるよいきっかけになります。そのように教育を実施していく中で、よく課題となるのが、どのような教育をどのような対象に実施するかです。そこで、特にテーマの二点についてテキストでは説明していきたいと思います。なお、現在の教育の実施状況について参考までに最初にふれます。

(3)

序

教育実施状況の現状

この単元での基礎知識

◆現在の各団体での教育実施状況は、どのようになっているか

【

解

説

】

「地方自治情報管理概要」という資料があります。これは、地方公共団体における行政情報化の推進状況調査の結果がまとめられたものです。行政情報化、電子自治体の推進状況について、数多くの調査結果が統計的に述べられており、今回のＣＩＯ研修全般以外の情報も多く載っています。その中で、教育・研修の実施率についても掲載されておりますので、ここで紹介したいと思います。同資料では、教育・研修の実施について三種類述べられています。 ○情報化（電子自治体について） ○個人情報保護について ○情報セキュリティについて結果を抜粋すると、以下のような実施率（平成18年度時点）になっています。どのような印象をもたれましたか。テーマ都道府県実施率(%) 市区町村実施率(%) 情報化９７．９６１．５個人情報保護９３．６５０．０情報セキュリティ１００６１．２

(4)

情報セキュリティ研修については、同資料でさらに分析がされています。それは、平成15年度時点との比較です。昨今の情報セキュリティ事件・事故の影響などもあってか、教育の実施率は急速に向上しています。しかし、これらの教育とその実施率は資料から理解できますが、教育の内容としてはこれだけなのでしょうか。また、すべての教育を、すべての職員が参加しなくてはならないのでしょうか。この単元では、教育の実施項目とそれぞれの対象の選定について考えていきたいと思います。

序

教育実施状況の現状

【参考文献】（１）地方自治情報管理概要（総務省、平成18年）参照：http://www.soumu.go.jp/s-news/2006/060928_5.html 情報セキュリティ研修の実施平成15年度(%) 平成18年度(%) 都道府県６１．７１００市区町村２１．９６１．２

(5)

１

１ 職員教育の項目とポイント

職員教育の項目とポイント

ここでのテーマと課題

◆職員に対する教育は、どのような内容で実施すればよいか

【

解

説

】

情報セキュリティに対する教育の項目については、情報セキュリティポリシーの規定の数だけ、情報セキュリティ対策のそれぞれ観点でも複数の項目があるといえます。ですから、情報セキュリティ教育の項目が尽きることは、ほぼないといえるかもしれません。しかし、すべての内容を一律に行うことはできません。それぞれの団体でのセキュリティ対策の進み具合、年度ごとの全体的なテーマの設定、教育に費やせる時間、教育の対象者などによって変わってきます。そのため、教育の実施については、中期的な計画を立ること、その内容としては、それぞれの年度でどの対象にどのような内容を実施するか、さらには、実施期間をいつにするか、などについて検討し、ＣＩＯが承認することが必要となります。計画の策定については、セキュリティ対策の一環として立てられるものとなるので、ここでは、職員教育としてどのような項目があり、どのようなポイントで実施するとよいかについて考え、次の項で、具体的な対象者と対象に対するアプローチを考えていきたいと思います。

(6)

１

１ 職員教育の項目とポイント

職員教育の項目とポイント

さて、職員教育の項目ですが、簡単にあげるだけでも以下のようなものがあります。教育に費やせる時間を踏まえて、毎年度のように実施した方が望ましいもの、テーマとして１回以上設定することが望ましいもの、を組み合わせて実施することがよいかと思います。項目ポイント実施タイミングセキュリティ意識・セキュリティとはそもそもどのようなことなのか・セキュリティ対策がなぜ必要なのか毎年度セキュリティマネジメントシステム・ＩＳＭＳの考え方とはどのようなものか・ＰＤＣＡサイクルでどのようなことを実施するか毎年度事件・事故事例・どのようなセキュリティ事件・事故が発生しているか・なぜ、セキュリティ事件・事故が発生してしまったのか毎年度監査結果の周知・内部監査又は外部監査の結果、団体で特に指摘が多かったものは何か・具体的な対策の実施方法について監査実施の翌年度ＯＡ教育・Word,Excelの効果的な使い方・Word,Excelのセキュリティ設定方法適宜自宅におけるセキュリティ対策・庁外ではどのようなセキュリティ対策を実施したらよいか・自宅パソコンの設定状況の確認方法テーマとして１回以上情報セキュリティポリシーの内容・セキュリティポリシーの規定の説明とその規定がなぜあるか・リスクに基づく考え方・制定又は見直しのポイントポリシー制定、見直し時システム開発時のセキュリティ対策・システム開発を行う場合のセキュリティ対策のポイントは何か・運用後も考えたシステム開発とはどのようなものかテーマとして１回以上

(7)

１

１ 職員教育の項目とポイント

職員教育の項目とポイント

項目ポイント実施タイミング情報セキュリティ実施手順策定・実施手順がなぜ必要なのか・実施手順はどのように策定するか実施手順の策定、見直し時リスクアセスメント実施方法・脅威、脆弱性、リスクの違いとリスクの考え方・リスクアセスメントはどのように実施し、報告するかリスクアセスメントの実施時外部委託業者へのセキュリティ対策・契約書の内容の説明と注意すべきことは何か・契約書の雛型にかかれていないセキュリティに関する注意事項とはテーマとして１回以上技術的セキュリティ対策の実施方法・サーバ、システムに対するセキュリティ対策はどのように行うか・セキュリティパッチ、リストアなどのテストの考え方と実施方法テーマとして１回以上物理的セキュリティ対策の実施方法・第三者の脅威にはどのようなものがあるか・物理的セキュリティを実施できるものとできないものテーマとして１回以上内部監査員養成・内部監査がなぜ必要なのか・内部監査実施のポイント内部監査員を養成する都度マネジメントレビュー実施概要・マネジメントレビューの必要性とは・マネジメントレビューで実施すべきこと気をつけるべきことは何か初回のマネジメントレビュー実施前新任職員研修・団体でのセキュリティの考え方・セキュリティ対策で実施すべきこと新任職員採用時個人情報保護研修・個人情報保護条例の内容について・個人情報保護とセキュリティ対策の関連性テーマとして１回以上

(8)

１

１ 職員教育の項目とポイント

職員教育の項目とポイント

職員教育は、今あげたもの以外もあります。また、職員教育の実施方法自体にも色々あります。以下に、例とそれぞれのメリット・デメリットをあげます。実施方法メリットデメリット座学による教育・一度に多くの人数に対して実施できる・同一の内容を周知しやすい・対象者の興味がないとあきられてしまう・参加する職員が少なくなる傾向がある参加型の教育・参加することで、理解が促進される・ある程度のまとめた人数に対して実施できる・テーマの設定が難しい・結果を踏まえた臨機応変な教育の実施が必要となる討議型の教育・討議を行うことで、理解が促進され、他人の考えも聞くことができる・一度に多くの職員に対して実施できない・討議するために、ある程度の時間と前提知識が必要となる効果測定の実施・教育の効果があったか確認できる・結果を踏まえて翌年度以降の計画が立てられる・集計や分析に時間がかかる・質問項目によっては、傾向にばらつきが出るインターネットを利用した研修（e-learning）・一度に多くの人数に対して実施できる・ある程度、対象者が実施するタイミングを決定できる・内容を理解されているか確認することが必要となる・受講率が低くなる傾向がある

(9)

２

２ 教育テーマに対する対象の考え方

教育テーマに対する対象の考え方

ここでのテーマと課題

◆どのような対象に対して、どういう教育を実施すればよいか

【

解

説

】

前の項では、職員教育の項目について、様々な内容と方法があることを述べました。しかし、すべての職員に対して、一律な教育内容である必要はありません。例えば、新任職員に対しては、自団体での情報セキュリティ対策を最初に伝えなくてはならないですし、システム開発を担当される職員に対しては、システム開発や運用に関する知識が必要となってきます。よって、それぞれの団体での計画、方向性に依存することになります。ですが、教育を実施する中で、大きなポイントとなることが一つあります。それは、セキュリティ意識は、上位役職の方に依存されるセキュリティ対策は、現場の職員の方に依存されるということです。例えば、「課」という組織に照らし合わせますと、その課のセキュリティ意識は、課長、係長、班長などによって違いが表れます。また、対策がされているかどうかは、実際のセキュリティリーダ（情報化担当）を始めとした職員によって違いが表れます。これが、団体であれば、首長やＣＩＯのセキュリティ意識によって、団体間のセキュリティに対する取組み方に差が出てくることになります。よって、この意識と対策の両輪を踏まえた教育の実施が必要となってきます。

(10)

２

２ 教育テーマに対する対象の考え方

教育テーマに対する対象の考え方

では、意識と対策の両輪を踏まえた教育の実施とは、どのようなものとなるでしょうか。まず、「セキュリティ意識は、上位役職の方に依存される」ことから、このような対象の方に、セキュリティの必要性、自団体の取組み状況などを踏まえた、意識付けの教育が必要になると考えられます。また、意識付けは継続して行わなければならないものですので、ほぼ毎年度の実施が必要となるでしょう。もう一方で、「セキュリティ対策は、現場の職員の方に依存される」ことから、このような対象の方に、具体的なセキュリティ対策の実施方法、自団体での取組みのポイントなどを踏まえた教育が必要になると考えられます。なお、この教育に、セキュリティの必要性を訴えるデモンストレーションなどを積極的に盛り込むこと、より効果的となります。これらの実施は、対象が多いので、計画的にすべての職員が一度以上は参加できるようにすることが必要になるでしょう。また、リスクに対する考え方や通常の業務内容及び実施場所で、教育の内容と対象を考慮することも考えられます。例えば、出先機関、学校、病院などの職員ごとに実施することです。最後に、是非お勧めしたいのが、各課などにセキュリティリーダ（情報化担当）がいる場合には、その方への教育を実施することです。このような方は、多くの場合情報化やセキュリティ対策についての知識を多くもっているので、少し高度な内容や、より踏み込んだ内容を教育することも可能です。その教育内容を、各課に持ち帰っていただき、各課ごとで周知していただくことで、結果としては、原課でより多くの方がセキュリティ対策を実施されることが期待できます。

(11)

この単元での課題を考える

課題を考える

情報セキュリティ対策を職員に周知・徹底するために、有効な手段

について検討してください。

【事前学習課題４】これまで、情報セキュリティについては、「情報セキュリティ概論」、「情報セキュリティポリシー評価と見直し及び情報セキュリティ監査」及び「情報セキュリティ教育」と学んできました。これらを踏まえて、自団体で情報セキュリティ対策を周知・徹底していく上で、有効な手段について検討し、様式に記入してください。（実際に自団体で取り組んでいる事例又はうまく周知できずに苦労している事例等）なお、今まで学んだこと以外にも有効な手段があれば、記入していただいてかまいません。なお様式は、各自でカスタマイズしていただいてかまいません。「事前学習課題０４：様式」に記入